Arista Networks publicó el 22 de octubre un aviso de seguridad en el que advierte sobre la explotación activa de la vulnerabilidad crítica CVE-2026-114625 en VeloCloud Orchestrator (VCO), el sistema central de gestión de redes SD-WAN VeloCloud. La vulnerabilidad de tipo SQL injection (CWE-89) permite a cualquier usuario autenticado, incluidos quienes dispongan del rol mínimo Enterprise Read Only, realizar una escalada de privilegios hasta el nivel de operador superusuario y obtener acceso a funciones internas no diseñadas para su uso remoto. La puntuación CVSS v3.1 es de 9.9, y la de CVSS v4.0 es de 9.4. Las organizaciones con despliegues locales de VCO en las ramas 5.2, 6.1 y 6.4 deben instalar inmediatamente las versiones corregidas o aplicar medidas de protección temporales.
Detalles técnicos de la vulnerabilidad
Según el aviso de Arista, para explotar CVE-2026-114625 el atacante necesita dos condiciones: acceso de red a la interfaz web de VCO y una sesión autenticada válida. Para ello basta con el rol integrado mínimo, Enterprise Read Only, el nivel de acceso más bajo para los usuarios cliente. VCO es accesible desde el exterior de forma predeterminada y ninguna configuración permite eliminar esta exposición.
Una explotación exitosa permite al atacante actuar en nombre del operador superusuario local, un rol con acceso completo al orquestador. Esto puede conducir a la compromisión de la confidencialidad, integridad y disponibilidad tanto del propio orquestador como de los datos que gestiona. Arista también señala que la explotación puede afectar al sistema host de VCO.
Versiones afectadas y parches
La vulnerabilidad afecta a los despliegues locales de VeloCloud Orchestrator On-Prem (anteriormente VeloCloud Orchestrator by Broadcom) de las siguientes versiones:
- VCO 5.2.x hasta la versión 5.2.3.18 (exclusive)
- VCO 6.1.x hasta la versión 6.1.3.10 (exclusive)
- VCO 6.4.x hasta la versión 6.4.2.12 (exclusive)
Las versiones corregidas son: VCO 5.2.3.18, 6.1.3.10 y 6.4.2.12, respectivamente. Los despliegues en la nube (Hosted) y dedicados (Dedicated) de VCO ya han recibido los parches. Los componentes VeloCloud Gateway y VeloCloud Edge no son vulnerables a esta falla. La rama 7.0 tampoco se ve afectada. Arista no ha verificado las versiones que han alcanzado el fin de soporte; se recomienda a los clientes en dichas ramas que contacten con el TAC para analizar las opciones de actualización.
Un matiz importante: los orquestadores actualizados para corregir las vulnerabilidades previas de julio y septiembre siguen siendo vulnerables a CVE-2026-114625, ya que esas versiones de correcciones son anteriores a los nuevos parches.
Serie de vulnerabilidades en VCO: contexto
CVE-2026-114625 es la tercera vulnerabilidad de día cero en VeloCloud Orchestrator sobre la que Arista informa desde finales de julio. En julio se reveló CVE-2026-16812, una vulnerabilidad de ejecución de comandos del sistema operativo (CWE-78) con puntuación CVSS 10.0 que no requería autenticación. En septiembre la siguió CVE-2026-93952, un error de validación de datos de entrada (CWE-20) con CVSS 10.0, que tampoco requería credenciales. Ambas vulnerabilidades anteriores se incluyeron en el catálogo CISA KEV como activamente explotadas.
Ya hemos analizado en detalle ambas vulnerabilidades anteriores: CVE-2026-16812 en VeloCloud Orchestrator y CVE-2026-93952 con CVSS 10.0.
La vulnerabilidad actual se diferencia de las dos anteriores en que requiere autenticación. Sin embargo, la barrera de entrada sigue siendo baja: el rol Enterprise Read Only es el nivel mínimo de acceso que recibe cualquier usuario cliente. En la arquitectura de VCO, los operadores crean las cuentas de clientes y socios, y cada socio gestiona un grupo de clientes. De este modo, una cuenta comprometida de cualquier nivel se convierte en el punto de partida para la toma completa del orquestador.
Cabe señalar que, en el momento de la publicación del aviso de octubre, la corrección de la vulnerabilidad de septiembre CVE-2026-93952 para la rama 6.1 todavía no se había publicado: los fixes estaban disponibles solo para las ramas 5.2 y 6.4. El aviso no aclara si la versión 6.1.3.10 también corrige la vulnerabilidad de septiembre.
Indicadores de compromiso
Según Arista, los ataques se llevaron a cabo desde dos direcciones IP:
- 74.82.197[.]86
- 38.54.50[.]151
Arista recomienda bloquear estas direcciones y revisar los registros en busca de accesos desde ellas. Además, se deben analizar los registros de acceso web de VCO en busca de solicitudes con componentes de ruta inusuales, caracteres codificados, accesos a servicios locales o internos, así como frecuencias de solicitud anómalamente altas.
El aviso no revela cuándo comenzaron los ataques, qué organizaciones se vieron afectadas ni qué acciones llevaron a cabo los atacantes tras la explotación. Tampoco se indica si esta vulnerabilidad permite acceder a los dispositivos VeloCloud Edge, aunque para las vulnerabilidades de julio y septiembre Arista advirtió sobre esa posibilidad.
Recomendaciones de protección
Si la actualización inmediata no es posible, Arista recomienda las siguientes medidas temporales:
- Restringir el acceso a la interfaz web de VCO a redes administrativas de confianza
- Supervisar las conexiones a VCO desde direcciones IP maliciosas conocidas
- Controlar la actividad de red saliente atípica desde el host de VCO
- Considerar el bloqueo de puertos salientes que no sean necesarios para el funcionamiento normal
- Comprobar la presencia de backdoors y web shells
- Analizar los registros de acciones administrativas en busca de cambios inesperados
En caso de sospecha de compromiso, Arista recomienda encarecidamente conservar las evidencias antes de iniciar cualquier trabajo de recuperación: registros de acceso web de VCO, registros de la aplicación del servidor, registros del sistema y de bases de datos, así como las marcas de tiempo del sistema de archivos.
Tres vulnerabilidades críticas de día cero en VeloCloud Orchestrator en tres meses —todas con explotación activa confirmada— dibujan un panorama constante de presión dirigida sobre la infraestructura SD-WAN. Las organizaciones con despliegues locales de VCO deben considerar la actualización a las versiones corregidas (5.2.3.18, 6.1.3.10, 6.4.2.12) como una tarea de máxima prioridad y, en paralelo, realizar un análisis retrospectivo de los registros en busca de signos de compromiso basados en los IOC indicados.
